DigiCert, una de las autoridades de certificados más grandes del mundo, reconoció que un sistema interno quedó abierto a internet por error durante 17 meses y que una cuenta ajena alcanzó a leer datos archivados de sus clientes. En la mayoría de los casos eran datos de contacto de empresas, pero en una minoría incluían documentos de identidad como pasaportes, licencias de conducir o recibos de servicios. Según la empresa, esa cuenta no podía emitir certificados, y ninguno se vio afectado. DigiCert no ha dicho cuántos clientes están en esa minoría.
La historia empieza el 4 de febrero de 2025. Ese día, una migración de infraestructura movió el sistema, que hasta entonces solo se alcanzaba por VPN, a una zona accesible desde fuera, y el cambio no pasó por una revisión de seguridad. El sistema guarda lo que los representantes de los clientes entregan para validar a su organización y tenía una función de autorregistro pensada para otros usos: cualquiera podía crearse una cuenta, sin la verificación en dos pasos que DigiCert exige en el resto de sus sistemas.
El 18 de junio de 2026, el equipo interno vio cuentas que no eran de la empresa, pero concluyó, por error, que no podían leer datos, y bloqueó el registro desde fuera. Tres días después, su programa de investigadores de seguridad avisó que se podían crear cuentas. Entre el 27 de junio y el 2 de julio, cuando salió el parche, una cuenta no autorizada leyó datos archivados. DigiCert no lo supo hasta octubre: el 12 sospechó, el 19 lo confirmó y el 20 presentó su informe preliminar en el Bugzilla de Mozilla, donde las autoridades de certificados deben reportar sus incidentes. A principios de noviembre empezaron a llegar las notificaciones a los clientes.
Lo que se sabe de la filtración de DigiCert
- Tres fallas encadenadas. El análisis de causa raíz de DigiCert señala tres: el cambio de red que no se revisó, un autorregistro sin verificación en dos pasos y un modelo de autorización que no contemplaba esas cuentas. Una cuenta sin ninguna aplicación asignada podía leer los datos archivados.
- Qué se expuso. Nombres, correos y teléfonos de trabajo y direcciones de empresas. En una minoría de casos, además, el documento que el cliente entregó para su validación: licencia de conducir, pasaporte, recibo de servicios u otro con nombre y dirección.
- Qué no. La cuenta era de solo lectura: «no podía escribir registros, actuar como aprobadora de una validación ni emitir certificados», escribió DigiCert, y sus registros de auditoría no muestran acciones sobre la autoridad de certificación. Según la notificación citada por BleepingComputer, CertCentral y DigiCert ONE, sus plataformas para clientes, no se vieron comprometidas.
- Cuántos. No se sabe. DigiCert habla de «una pequeña proporción» de sus datos archivados; en el hilo de Mozilla le pidieron cifras dos veces y no las ha dado. Tampoco hay un responsable identificado.
- Qué cambió. Apagó el autorregistro, limitó el sistema a la VPN y a direcciones privadas, restableció las contraseñas de sus usuarios, agregó alertas de creación de cuentas y de volumen de consultas, pidió una prueba de penetración externa y ahora exige revisión de seguridad para cualquier cambio de red. Dice que avisó a los clientes afectados y a las autoridades.
- No es el primer tropiezo del año. En abril, otro incidente, sin relación con este, empezó con un ZIP disfrazado de captura de pantalla que un atacante mandó por el chat de soporte. Desde dos equipos comprometidos llegó a códigos con los que obtuvo certificados EV de firma de código legítimos. DigiCert revocó 60, de los que 27 estaban ligados al atacante y 11 se usaron para firmar el malware Zhong Stealer.
Por qué a una autoridad de certificados se le exige más
Una autoridad de certificados es la que responde por la identidad detrás del candado del navegador; cómo funciona esa cadena de confianza lo explicamos en la guía de certificados y en HTTPS por dentro. Para emitir un certificado de organización (OV), uno de validación extendida (EV) o uno de firma de código, no basta con probar que controlas un dominio: la autoridad tiene que comprobar que la empresa existe y que quien la representa es quien dice ser. Por eso guarda documentos como pasaportes o recibos, y por eso un archivo así es valioso para un atacante, aunque no sirva para emitir certificados.
Si tu empresa es cliente de DigiCert, lo más probable es que el riesgo práctico sea el phishing: correos muy creíbles, con tu nombre, tu cargo y tus datos de validación, que piden «confirmar» algo o renovar con urgencia. Confirma cualquier aviso por un canal que ya conozcas, no por los enlaces del correo; si te notificaron que tu documento de identidad estaba en el archivo, vigila intentos de suplantación. Según DigiCert, no hace falta cambiar certificados ni claves, porque no fueron alcanzados, pero es buen momento para revisar quién tiene acceso a tu cuenta y que la verificación en dos pasos esté activa.
La lección que la propia DigiCert escribió en su reporte vale para cualquier empresa: la autorización de un sistema no puede depender de su posición en la red. Un sistema pensado para vivir detrás de una VPN suele confiar en que nadie de fuera llega; cuando una migración cambia eso sin revisión, esa confianza se vuelve una puerta abierta, y en este caso tardó 17 meses en cerrarse.
Fuente: reporte de DigiCert en el Bugzilla de Mozilla; BleepingComputer; Start with Identity; sobre el incidente de abril, Help Net Security y SecurityWeek. Imagen de portada: logotipo de DigiCert, marca registrada.